Was war passiert?

Am 20. Oktober kündigte das PHP-Sicherheitsteam für den Folgetag ein außerplanmäßiges Sicherheitsupdate an. Eine solche Vorwarnung ist ungewöhnlich und unterstreicht den Ernst der Lage. Am 21. Oktober wurden schließlich die Details zu zwei Schwachstellen veröffentlicht, gemeinsam mit den korrigierten PHP-Versionen.

Konkret ermöglichten die Lücken eine Remote Code Execution. Das bedeutet: Angreifer hätten aus der Ferne eigenen Programmcode auf einem Server ausführen können, ohne sich vorher anmelden zu müssen. Im schlimmsten Fall hätten sie so die Kontrolle über eine Website übernehmen, Daten auslesen oder Schadsoftware einschleusen können.

Schweregrad PHP-Lücke

Besonders brisant war, dass die Schwachstelle in PHP selbst lag und nicht in einer einzelnen Anwendung. Betroffen waren damit grundsätzlich alle Websites, die auf PHP laufen, darunter auch Systeme wie WordPress oder TYPO3, unabhängig davon, wie gut die Website selbst gepflegt ist. Schutz bot allein ein Update von PHP auf dem Server. Weltweit nahmen Unternehmen und Einrichtungen ihre Websites deshalb vorübergehend vom Netz, in Deutschland etwa auch Universitäten und Universitätskliniken.

Infografik wo liegt die PHP-Lücke

Unser Vorgehen

  • Vorsorgliche Abschaltung: Direkt betroffene Websites haben wir vorübergehend offline genommen, um eine Ausnutzung der Lücke auszuschließen.
  • Schließen der Schwachstelle: Sobald das Sicherheitsupdate (der sogenannte Patch) verfügbar war, haben wir die PHP-Versionen auf unseren Servern aktualisiert.
  • Überprüfung der Server: Vor der Wiederinbetriebnahme haben wir unsere Server sorgfältig kontrolliert.

Unser Team hat dafür bis tief in die Nacht gearbeitet. Ziel war es, die Websites unserer Kunden so schnell wie möglich wieder sicher und zuverlässig verfügbar zu machen.

Infografik Ablauf PHP-Schwachstellenmanagement

Ihr Vorteil: ein Partner, der handelt

Für unsere Kunden bestand in dieser Situation kein Handlungsbedarf. Wir haben die Entwicklung frühzeitig verfolgt, die notwendigen Entscheidungen getroffen und die Maßnahmen vollständig umgesetzt. Genau darin sehen wir unsere Verantwortung als Agentur: Sicherheit und Verlässlichkeit nicht nur zu versprechen, sondern im Ernstfall zu gewährleisten.

Sie möchten wissen, wie gut Ihre Website oder Webanwendung aufgestellt ist? Sprechen Sie uns an!
Johannes Reß – Geschäftsführer und Leiter des Bereichs Digitalisierung
Johannes Reß als Comicfigur mit Umhängetasche und zwei Smartphones